{"id":31019,"date":"2026-09-22T15:32:09","date_gmt":"2026-09-22T13:32:09","guid":{"rendered":"https:\/\/www.kaspersky.it\/blog\/?p=31019"},"modified":"2026-09-22T15:32:09","modified_gmt":"2026-09-22T13:32:09","slug":"smart-tv-box-residential-proxy-malware-threat","status":"publish","type":"post","link":"https:\/\/www.kaspersky.it\/blog\/smart-tv-box-residential-proxy-malware-threat\/31019\/","title":{"rendered":"Trojan TV, o i nuovi rischi dei proxy dannosi"},"content":{"rendered":"

Nel 2026 il proprietario di un normale router domestico, di una smart TV o di un TV box \u00e8 un obiettivo primario per i criminali informatici. Questi dispositivi vengono prontamente reclutati nelle botnet e nelle reti proxy residenziali<\/a>, di cui abbiamo gi\u00e0 parlato.<\/p>\n

I criminali \u201csubaffittano\u201d il dispositivo infetto lasciando che estranei paghino per visitare qualsiasi sito Web partendo dall\u2019indirizzo IP della vittima, quindi sembra che sia il proprietario del dispositivo a farlo. Il servizio \u00e8 richiesto in ogni tipo di attivit\u00e0 illecita: dalle frodi pubblicitarie e dalle campagne di spam al furto di password tramite attacchi di forza bruta e all\u2019hacking degli account. Nel post precedente abbiamo descritto il modo in cui i router domestici vengono reclutati in queste reti proxy; oggi diamo uno sguardo a una categoria di dispositivi ancora pi\u00f9 vulnerabile e altrettanto onnipresente: smart TV e TV box.<\/p>\n

Fanno appello ai criminali per due motivi. In primo luogo, a differenza di computer e smartphone, i televisori sono quasi sempre collegati alla corrente e dispongono di una connessione Internet veloce. Se lo schermo scuro non significa necessariamente che il dispositivo \u00e8 spento. Inoltre, l\u2019interfaccia utente e gli strumenti di monitoraggio limitati fanno s\u00ec che i processi in background sospetti possano facilmente passare inosservati agli utenti.<\/p>\n

La minaccia si sta evolvendo e sta diventando sempre pi\u00f9 aggressiva. Uno studio<\/a> recente ha rilevato che una volta che un proxyware compare in un set-top box, i rischi per il relativo proprietario vanno ben oltre la deduzione del traffico.<\/p>\n

Anatomia dell\u2019infezione<\/h2>\n

I ricercatori si sono concentrati su un famoso TV box di SuperBox, di cui abbiamo gi\u00e0 parlato in precedenza nel post Il tuo box TV affitta la tua rete?<\/strong><\/a><\/p>\n

Il marketing di SuperBox si basa fortemente sulla promessa di fornire migliaia di canali TV senza abbonamento o canone mensile. Ma con la configurazione predefinita il dispositivo non \u00e8 in grado di eseguire alcuna operazione del genere. Per ottenere l\u2019accesso a contenuti piratati, \u00e8 necessario installare l\u2019app store proprietario del brand.<\/p>\n

Quando lo si avvia e si installano app aggiuntive, vengono visualizzate migliaia di canali TV. Nel frattempo, dietro le quinte, senza avvisi o richieste di autorizzazione, il dispositivo inonda i siti esterni di richieste non autorizzate e il traffico di rete subisce forti picchi.<\/p>\n

I ricercatori hanno scoperto diversi fatti allarmanti. In primo luogo, la vittima viene registrata in un massimo di cinque botnet contemporaneamente. SuperBox esegue contemporaneamente client per diverse reti proxyware, che tentano persino di competere tra loro bloccando l\u2019installazione del software rivale.<\/p>\n

Ma il vero shock sono stati gli attacchi alla rete interna. Il proxyware del box TV non pone limiti a ci\u00f2 che i \u201cclienti\u201d paganti possono effettivamente fare sulla rete. Possono raggiungere non solo siti esterni, ma anche i dispositivi all\u2019interno della rete domestica.<\/p>\n

In genere, le impostazioni del router di casa e dell\u2019ISP proteggono dagli attacchi esterni. Ma il proxyware aggira queste barriere perch\u00e9 opera dall\u2019interno della rete. Durante un esperimento, i ricercatori hanno confermato che un utente malintenzionato su Internet pu\u00f2 facilmente sfruttare il set-top box infetto per aprire il pannello di amministrazione di un router domestico, come un Linksys, che dovrebbe essere accessibile solo al suo proprietario quando connesso alla rete Wi-Fi domestica. Ci\u00f2 significa che gli hacker possono tentare di rubare i dati da altri dispositivi della stessa famiglia o addirittura criptare l\u2019archiviazione della rete domestica (NAS).<\/p>\n

Allo stesso tempo, i difetti del firmware di fabbrica di SuperBox consentono agli hacker di installare ed eseguire in remoto qualsiasi applicazione con privilegi di superutente e la minaccia \u00e8 tutt\u2019altro che ipotetica. In tre settimane di monitoraggio, il set-top box di prova \u00e8 stato colpito da oltre 1300 attacchi tramite la rete proxy domestica. Gli autori dell\u2019attacco hanno installato tre diversi tipi di malware, incluso un modulo per l\u2019avvio di attacchi DDoS.<\/p>\n

Il malware utilizza diversi metodi per prendere piede nel sistema e sopravvive ai riavvii e alle interruzioni di corrente.<\/p>\n

Come capire se il set-top box funziona per gli hacker<\/h2>\n

Se si dispone di un set-top box TV economico o di un Android TV di un marchio poco noto, vale la pena controllarlo per rilevare eventuali anomalie.<\/p>\n

Il metodo pi\u00f9 affidabile consiste nell\u2019esaminare il traffico di rete. Utilizza le statistiche nel pannello di controllo del router, ma tieni presente che questa funzionalit\u00e0 potrebbe non essere disponibile in alcuni modelli economici. Questa funzionalit\u00e0 \u00e8 denominata Traffic Analyzer nei router Asus, Traffic Usage in TP-Link e Traffic Monitor in Keenetic. Individua il dispositivo TV o set-top box nell\u2019elenco dei dispositivi e controlla il rapporto tra dati scaricati e dati caricati. Dovrebbero consumare molto traffico per scaricare video inviando pochissimo. Se il tuo box sta inviando silenziosamente gigabyte di dati o continua a conversare in rete anche quando \u00e8 inattivo, questo \u00e8 un segno rivelatore che \u00e8 infetto.<\/p>\n

Se le statistiche sul traffico non sono disponibili, cerca segnali indiretti:<\/p>\n